HIPAA Integritetsregel: Generell princip
Täckta entiteter måste få patientens skriftliga auktorisation innan de avslöjar skyddad hälsoinformation (PHI) till tredje part, inklusive andra leverantörer — om inte ett undantag gäller.
Viktigt undantag: Behandlingssyfte
§164.506(c)(2): En täckt entitet får avslöja PHI för behandlingsaktiviteter hos en annan leverantör utan auktorisation. Detta inkluderar:
- Remiss till specialist.
- Konsultation mellan leverantörer.
- Överföring av vård (sjukhus till SNF, primärvård till specialist).
- Vårdkoordinering (t.ex. PCMH, ACO).
Villkor: Avslöjandet måste vara för mottagarens behandling av individen. Inte för marknadsföring, forskning, eller anställning.
Andra vanliga undantag (Ingen auktorisation behövs)
- Betalning (fakturering, inkasso).
- Vårdverksamhet (kvalitet, utbildning, behörighet).
- Folkhälsorapportering (smittsamma sjukdomar, vitalstatistik).
- Polis (specifika omständigheter).
- Nöd / omedelbar fara.
- Domstols/administrativa förfaranden (domstolsorder, förordnande med meddelande).
"Minimalt nödvändiga" standard
Även när avslöjande är tillåtet, bör endast den minimalt nödvändiga PHI delas för det angivna syftet.
Patienträttigheter
- Begär begränsning på avslöjanden (leverantör inte skyldig att instämma utom för egenbetalning i sin helhet).
- Begär konfidentiell kommunikation (alternativ adress/telefon).
- Tillgång till egna journaler (§164.524).
- Redogörelse för avslöjanden.
- Anmälan till OCR (HHS).
Bästa praxis för leverantörer
- Verifiera identitet på begärande leverantör.
- Bekräfta behandlingssyfte.
- Skicka endast relevanta journaler (inte hela journalen om inte behövs).
- Använd säker fax, krypterad e-post, hälsoinformationsutbyte (HIE), eller patientportal.
- Dokumentera avslöjande i redovisningslogg.
